SIG 2023 : Les nouveautés de la dernière mise à jour

Le questionnaire standard de collecte d'informations est utilisé par les équipes de gestion des risques des tiers pour effectuer des évaluations standardisées des risques liés aux fournisseurs et aux vendeurs. Les questionnaires SIG peuvent être utilisés tels quels ou dans le cadre d'un programme plus large de gestion des risques des tiers (TPRM). Ce post examine les principales mises à jour de SIG 2023 et la façon dont elles peuvent être utilisées dans vos évaluations des risques liés aux fournisseurs.

Qu'est-ce que SIG ?

Le questionnaire standard de collecte d'informations (SIG) est une évaluation des risques réalisée par une tierce partie et conçue par Shared Assessments. SIG est disponible en plusieurs formats, y compris SIG Core, SIG Lite et des versions personnalisées. Les organisations utilisent les questionnaires SIG pour mesurer les risques liés aux tiers dans 19 domaines, et chaque question est associée à plusieurs exigences de conformité et de réglementation. SIG couvre un large éventail de domaines allant de la sécurité de l'information et de la cybersécurité à la confidentialité et à l'ESG.

Shared Assessments révise et met à jour les questionnaires SIG sur une base annuelle. Ces mises à jour comprennent généralement des ajouts et des modifications aux questions, domaines et catégories de sujets sur la base des normes opérationnelles actuelles, des changements sociétaux et des développements dans des industries et secteurs spécifiques.

Quels sont les domaines couverts par le SIG ?

La version actuelle du SIG évalue le risque à travers les 19 domaines de contrôle suivants, également appelés "domaines" :

1. Contrôle d'accès
2. Sécurité des applications
3. Gestion des actifs et de l'information
4. Services d'hébergement en nuage
5. Gestion de la conformité
6. Gestion des incidents de cybersécurité
7. Sécurité des points d'extrémité
8. Gestion du risque d'entreprise
9. Environnemental, social et gouvernance (ESG)
10. Sécurité des ressources humaines
11. Assurance de l'information
12. Gestion des opérations informatiques
13. Sécurité des réseaux
14. Gestion des tiers
15. Résilience opérationnelle
16. Sécurité physique et environnementale
17. Gestion de la vie privée
18. Sécurité du serveur
19. Gestion des menaces

Les principaux ajouts de SIG 2023 comprennent le nouveau domaine ESG et le nouveau domaine Nth-Party Management. Par ailleurs, le domaine Politique de sécurité a été supprimé et son contenu a été déplacé vers les domaines Gestion des tiers et Assurance de l'information. Nous allons entrer dans les détails ci-dessous.

Principaux changements dans SIG pour 2023

Nouveau domaine ESG ajouté dans SIG 2023

Le changement le plus important dans SIG 2023 est l'ajout du domaine environnemental, social et de gouvernance (ESG). La conformité ESG a gagné en importance avec l'émergence de plusieurs nouvelles réglementations, telles que le projet de directive européenne sur la diligence raisonnable en matière de durabilité des entreprises et la loi allemande sur la diligence raisonnable en matière de chaîne d'approvisionnement. La mise à jour SIG Core 2023 intègre 131 questions relatives aux pratiques environnementales, sociales et de gouvernance.

Par rapport à SIG 2022, SIG 2023 approfondit des sujets spécifiques au sein d'ESG. Par exemple, SIG 2022 comprenait des questions de haut niveau comme "Avez-vous un programme ESG en place ?". SIG 2023, quant à lui, aborde plusieurs sujets ESG spécifiques dans les catégories suivantes :

Environnement

• Politique environnementale
• Gestion de l'environnement
• Pollution de l'air
• Gestion des déchets
• Conformité réglementaire
• Changement climatique
• Gestion des ressources naturelles

Social

• Droits de l'homme : Esclavage moderne, Salaire minimum
• Sécurité des travailleurs et de la santé : Politique de l'OHSA
• Implication dans la communauté
• Sécurité des consommateurs : Conformité réglementaire (FDA)

Gouvernance

• Structure du conseil d'administration : Suivi des performances
• Éthique et code de conduite : Diversité et inclusion, approvisionnement éthique
• Gestion de la chaîne d'approvisionnement : Évaluations des risques ESG, codes de conduite
• Pratiques de gestion ESG : Registre des risques ESG, accords de niveau de service et objectifs.
• Confidentialité et sécurité des données

Le nouveau domaine de gestion des tiers s'attaque au risque lié aux^tiers.

La gestion des tierces parties est un autre nouveau domaine de SIG 2023. Ce sujet était auparavant couvert dans le cadre du domaine Gestion des risques de l'entreprise.

De nombreux facteurs relient les risques accrus liés aux données aux quatrièmes parties. Par exemple, les auteurs de menaces sont connus pour cibler les fournisseurs de technologies afin de lancer ensuite des attaques par ransomware contre les partenaires commerciaux des fournisseurs et leurs clients. Un bon exemple est la violation de Kaseya de l'année dernière, qui visait une plateforme populaire utilisée par les fournisseurs de services gérés pour fournir des services à leurs clients.

En outre, les entreprises étant de plus en plus connectées, les PII, PHI, la propriété intellectuelle et d'autres données sensibles peuvent se retrouver entre les mains de quatrièmes et de nièmes parties qui ne sont pas connues du propriétaire ou du responsable initial des données. Dans ce contexte, distinguer le risque de quatrième et de nième partie du domaine de la gestion des risques de l'entreprise est tout à fait logique. Les catégories du domaine de la gestion des Nième-Parties incluent :

• Politiques, normes et procédures
• Parrainage exécutif
• Contrats et accords
• Inventaire et actifs
• Surveillance du conseil d'administration et des comités
• Gestion des incidents et des violations
• Diligence raisonnable
• Évaluations des risques
• Antécédents et filtrage
• Notifications et gestion des problèmes